Bregusrwydd mewn cgroups v1 sy'n caniatáu dianc o gynhwysydd ynysig

Datgelwyd manylion am wendid (CVE-2022-0492) yng ngweithrediad y mecanwaith cyfyngu adnoddau cgroups v1 yn y cnewyllyn. Linux, y gellir ei ddefnyddio i ddianc rhag cynwysyddion ynysig. Mae'r broblem yn amlygu ei hun gan ddechrau gyda'r cnewyllyn. Linux 2.6.24 ac wedi'i drwsio yn y datganiadau cnewyllyn 5.16.12, 5.15.26, 5.10.97, 5.4.177, 4.19.229, 4.14.266, a 4.9.301. Gallwch olrhain rhyddhau diweddariadau pecynnau mewn dosraniadau ar y tudalennau hyn: Debian, SUSE, Ubuntu, RHEL, Fedora, Gentoo, Arch Linux.

Mae'r bregusrwydd oherwydd gwall rhesymeg yn y triniwr ffeil release_agent sy'n methu â chyflawni gwiriadau cywir wrth redeg y triniwr gyda breintiau llawn. Defnyddir y ffeil release_agent i ddiffinio'r rhaglen i'w gweithredu gan y cnewyllyn pan ddaw proses mewn cgroup i ben. Mae'r rhaglen hon yn rhedeg fel gwraidd a gyda phob “gallu” yn y gofod enwau gwraidd. Tybiwyd mai dim ond y gweinyddwr oedd â mynediad i'r gosodiad release_agent, ond mewn gwirionedd roedd y gwiriadau wedi'u cyfyngu i ganiatáu mynediad i'r defnyddiwr gwraidd, nad oedd yn eithrio'r gosodiad yn cael ei newid o'r cynhwysydd neu gan ddefnyddiwr gwraidd heb hawliau gweinyddwr (CAP_SYS_ADMIN ).

Yn flaenorol, ni fyddai nodwedd o'r fath wedi cael ei hystyried yn agored i niwed, ond mae'r sefyllfa wedi newid gyda dyfodiad gofodau enwau defnyddwyr (gofodau enwau defnyddwyr), sy'n eich galluogi i greu defnyddwyr gwraidd ar wahân mewn cynwysyddion nad ydynt yn gorgyffwrdd â defnyddiwr gwraidd y prif amgylchedd. Yn unol â hynny, ar gyfer ymosodiad, mae'n ddigon i gysylltu eich triniwr release_agent mewn cynhwysydd sydd â'i ddefnyddiwr gwraidd ei hun mewn gofod ID defnyddiwr ar wahân, a fydd, ar ôl cwblhau'r broses, yn cael ei weithredu gyda breintiau llawn y prif amgylchedd.

Yn ddiofyn, mae cgroupfs wedi'i osod mewn cynhwysydd yn y modd darllen-yn-unig, ond nid oes problem wrth ail-osod y ffugiau hyn yn y modd ysgrifennu os oes gennych hawliau CAP_SYS_ADMIN neu drwy greu cynhwysydd nythu gyda gofod enw defnyddiwr ar wahân gan ddefnyddio'r alwad system dad-rhannu, lle Mae hawliau CAP_SYS_ADMIN ar gael ar gyfer y cynhwysydd a grëwyd.

Атака может быть совершена при наличии root-полномочий в изолированном контейнере или при запуске контейнера без флага no_new_privs, запрещающего получение дополнительных привилегий. В системе должна быть включена поддержка user namespaces (по умолчанию включена в Ubuntu и Fedora, но не активирована в Debian и RHEL) и присутствовать доступ к корневому cgroup v1 (например Docker запускает контейнеры в корневом RDMA cgroup). Атака также возможна при наличии привилегий CAP_SYS_ADMIN, в этом случае поддержка user namespaces и доступ к корневой иерархии cgroup v1 не требуется.

Yn ogystal â dianc o gynhwysydd ynysig, mae'r bregusrwydd hefyd yn caniatáu prosesau a lansiwyd gan ddefnyddiwr gwraidd heb "galluoedd" neu unrhyw ddefnyddiwr â hawliau CAP_DAC_OVERRIDE (mae'r ymosodiad yn gofyn am fynediad i'r ffeil /sys/fs/cgroup/*/release_agent, sef eiddo gwraidd) i gael mynediad i bob “gallu” systemig.

Отмечается, что уязвимость не может быть эксплуатирована при применении механизмов защиты Seccomp, AppArmor или SELinux для дополнительной изоляции контейнеров, так как Seccomp блокирует обращение к системному вызову unshare(), а AppArmor и SELinux не позволяют примонтировать cgroupfs в режиме записи.

Ffynhonnell: opennet.ru